Trivy (by Aqua Security)

Descripción 

 Trivy es un escáner de seguridad todo en uno para contenedores, código, repositorios Git y más. Identifica vulnerabilidades (CVE), secretos expuestos y configuraciones erróneas. 

 Uso local 

 # Escanear una imagen Docker

trivy image nginx:latest

# Escanear archivos o repositorios

trivy fs .

# Escanear un repositorio remoto

trivy repo https://github.com/usuario/proyecto

 

 Reportes 

 

 

 Formatos: JSON , SARIF (para GitHub), tabla , plantillas personalizadas . 

 

 

 Exportables a sistemas como DefectDojo . 

 

 

 Integración en CI/CD 

 

 

 Ejecuta Trivy como acción de GitHub para escanear la imagen del contenedor Docker en busca de vulnerabilidades. Puede detener el pipeline si encuentra vulnerabilidades críticas. 

 

 

 - name: Generate Trivy Vulnerability Report

 uses: aquasecurity/trivy-action@master

 with:

 scan-type: "fs"

 output: trivy-report.json

 format: json

 scan-ref: .

 exit-code: 0

 

 Integraciones 

 

 

 GitHub . 

 

 

 Slack (via Webhook). 

 

 

 Jira: se puede automatizar la creación de tickets con scripts + API. 

 

 

 Plane, Microsoft Teams: vía Webhooks o bots. 

 

 

 VSCode: extensión oficial para escaneo local. 

 

 

 DevSecOps: se puede integrar con DefectDojo , Kubernetes Admission Controllers . 

 

 

 UI 

 

 

 Tiene una UI web experimental en el proyecto Trivy Dashboard . 

 

 

 CLI amigable. 

 

 

 Licencia 

 

 

 Open source (Apache 2.0) . 

 

 

 Puede instalarse localmente o en máquinas virtuales gratis. 

 

 

 Facilidad de uso 

 

 Muy fácil. Documentación clara y CLI muy intuitiva. 

 

 Cumplimiento con estándares 

 

 

 OWASP: Detecta vulnerabilidades en dependencias alineadas al OWASP Top 10, especialmente el punto A06:2021 sobre componentes vulnerables. 

 

 

 NIST: Compatible con NIST SP 800-53 (controles RA-5, SI-2) al detectar vulnerabilidades técnicas de forma automatizada. 

 

 

 ISO/IEC 27001: Apoya el cumplimiento del control A.12.6.1 (gestión de vulnerabilidades técnicas). 

 

 

 CIS Benchmarks: Escanea configuraciones de contenedores y Kubernetes contra benchmarks de seguridad del CIS.